Cisco IOSソフトウェアのSession Initiation ProtocolにおけるDoS脆弱性

注： 2014年3月26日のCisco IOSソフトウェアセキュリティアドバイザリバンドル公開には6件のCisco Security Advisoryが含まれています。すべてのアドバイザリは、Cisco IOSソフトウェアの脆弱性に対処しています。各Cisco IOSソフトウェアセキュリティアドバイザリには、このアドバイザリで詳述された脆弱性を修正したCisco IOSソフトウェアリリースと、2014年3月のバンドル公開のすべてのCisco IOSソフトウェアの脆弱性を修正したCisco IOSソフトウェアリリースが記載されています。

個々の公開リンクは、次のリンクにある『Cisco Event Response: Semiannual Cisco IOS Software Security Advisory Bundled Publication』に掲載されています。

http://www.cisco.com/web/about/security/intelligence/Cisco_ERP_mar14.html

SIPリスニングポートの無効化

sip-ua
 no transport udp
 no transport tcp
 no transport tcp tls

*Nov 2 11:36:47.691: sip_udp_sock_process_read: SIP UDP Listener is DISABLED

コントロール プレーン ポリシング

!– The 192.168.1.0/24 network and the 172.16.1.1 host are trusted.
!– Everything else is not trusted. The following access list is used
!– to determine what traffic needs to be dropped by a control plane
!– policy (the CoPP feature): if the access list matches (permit)
!– then traffic will be dropped and if the access list does not
!– match (deny) then traffic will be processed by the router.

access-list 100 deny udp 192.168.1.0 0.0.0.255 any eq 5060
access-list 100 deny tcp 192.168.1.0 0.0.0.255 any eq 5060
access-list 100 deny tcp 192.168.1.0 0.0.0.255 any eq 5061
access-list 100 deny udp host 172.16.1.1 any eq 5060
access-list 100 deny tcp host 172.16.1.1 any eq 5060
access-list 100 deny tcp host 172.16.1.1 any eq 5061
access-list 100 permit udp any any eq 5060
access-list 100 permit tcp any any eq 5060
access-list 100 permit tcp any any eq 5061

!– Permit (police or drop)/deny (allow) all other Layer3 and Layer4
!– traffic in accordance with existing security policies and
!– configurations for traffic that is authorized to be sent
!– to infrastructure devices.
!– Create a class map for traffic to be policed by
!– the CoPP feature.

class-map match-all drop-sip-class
  match access-group 100

!– Create a policy map that will be applied to the
!– control plane of the device.

policy-map control-plane-policy
 class drop-sip-class
  drop

!– Apply the policy map to the control plane of the
!– device.

control-plane
 service-policy input control-plane-policy

2014年2月、シスコは2005年から2010年の間に製造されたメモリコンポーネントに関する業界全体の問題の詳細を発表しました。これらのコンポーネントを使用するシスコ製品の大多数では、フィールドでの故障発生率が予想レベルを下回っていますが、デバイスのリロードや電源の再投入を行うと、コンポーネントの障害が発生する可能性があります。この問題に関連する既知のセキュリティ上の影響はありませんが、該当製品のサブセットでは、ソフトウェアアップグレードプロセス中にメモリコンポーネントの障害が発生する可能性があります。アップグレードを決定する前に、関連情報と製品固有のField Notice(www.cisco.com/go/memory)を確認することを推奨します。各Field Noticeには、ソフトウェアのアップグレード中に製品にメモリコンポーネントの障害が発生するかどうかが記載されています。

Cisco IOS ソフトウェア

Cisco IOSソフトウェアチェッカーは、Cisco IOSソフトウェアの脆弱性による侵害を最も迅速に判定する方法です。 このツールを使用すると、特定のCisco IOSソフトウェアリリースに影響を与えるシスコセキュリティアドバイザリをすばやく特定できます。 ドロップダウンメニューからリリースを選択するか、ローカルシステムからファイルをアップロードすることで、検索を開始できます。このツールには、show versionコマンド出力の解析機能もあります。以前に公開されたすべてのシスコセキュリティアドバイザリ、特定の資料、または2014年3月のバンドル資料のすべてのアドバイザリを検索することで、結果をカスタマイズできます。

また、次のCisco IOSソフトウェアの表を使用して、問題の発生の有無を確認することもできます。 各行はCisco IOSソフトウェアリリースに対応しています。特定のリリースに脆弱性が存在する場合、その修正を含む最初のリリースが2列目に表示されます。3列目には、このCisco IOSソフトウェアセキュリティアドバイザリバンドル公開のすべての脆弱性を修正する最初のリリースを記載します。

Cisco IOS XE ソフトウェア

Cisco IOS XR ソフトウェア

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。
本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。